Przewodnik po ogólnym rozporządzeniu o ochronie danych
W ciągu ostatniego roku kwestie prywatności i ochrony danych ponownie znalazły się w centrum uwagi w coraz bardziej złożonym kontekście technologicznym. W UE toczą się dyskusje na temat potrzeby wprowadzenia „RODO 2.0”, ponieważ chmura obliczeniowa i sztuczna inteligencja niosą ze sobą szereg wyzwań związanych z prywatnością – od modeli wspólnej odpowiedzialności po przetwarzanie danych biometrycznych i stosowanie rozpoznawania twarzy.
Czym więc jest RODO, czyli ogólne rozporządzenie o ochronie danych, co obejmuje i czy może dostarczyć odpowiedzi na dzisiejsze wyzwania 12 lat po jego pierwszym opracowaniu? Przyjrzyjmy się celom i wymaganiom tego aktu prawnego oraz temu, w jaki sposób można zapewnić zgodność z nim poprzez strategię ochrony danych.
Czym jest RODO?
Rozporządzenie o ochronie danych osobowych ( Ogólne rozporządzenie o ochronie danych (RODO) ) to akt prawny regulujący sposób, w jaki organizacje gromadzą, przechowują, przetwarzają i udostępniają dane osobowe obywateli UE. RODO weszło w życie 25 maja 2018 r. Opiera się ono na art. 8 Karty praw podstawowych Unii Europejskiej dotyczącym ochrony danych osobowych i uznaje „dobrowolną zgodę” za podstawę prawną przetwarzania danych osobowych.
Rozporządzenie to ma na celu ujednolicenie przepisów dotyczących ochrony danych w całej Unii Europejskiej oraz ochronę prawa do prywatności obywateli UE, niezależnie od lokalizacji geograficznej organizacji przetwarzającej dane osobowe.
Główne zasady RODO
Ogólne rozporządzenie o ochronie danych opiera się na 7 kluczowych zasadach, które regulują zgodne z prawem przetwarzanie danych osobowych. Zasady te nie są jedynie wytycznymi, lecz mają charakter prawnie wiążący i mają kluczowe znaczenie dla zgodności z RODO. Wymagają one od organizacji uwzględniania kwestii prywatności na każdym etapie przetwarzania danych, od początkowego gromadzenia danych aż po ich ostateczne usunięcie lub zniszczenie.
- Zgodność z prawem, uczciwość i przejrzystość. Przetwarzanie danych osobowych musi mieć podstawę prawną, nie może wprowadzać w błąd ani szkodzić osobom, których dane dotyczą, a także musi być jasne i otwarte wobec tych osób w zakresie sposobu wykorzystywania i przetwarzania ich danych.
- Ograniczenie celu . Dane muszą być gromadzone z konkretnych, jasnych, wyraźnych i zgodnych z prawem powodów, a ich wykorzystanie nie może być niezgodne z pierwotnym celem.
- Minimalizacja danych . Gromadzone i przetwarzane dane muszą ograniczać się do tego, co jest niezbędne do osiągnięcia zamierzonego celu.
- Dokładność . Dane osobowe muszą być dokładne i, w razie potrzeby, aktualizowane. Niedokładne dane należy bezzwłocznie poprawić lub usunąć.
- Ograniczenie okresu przechowywania . Dane osobowe mogą być przechowywane wyłącznie w formacie umożliwiającym identyfikację osób, których dane dotyczą, przez okres niezbędny do osiągnięcia zamierzonego celu.
- Integralność i poufność (bezpieczeństwo). Przetwarzanie danych osobowych powinno obejmować odpowiednie środki bezpieczeństwa chroniące przed nieuprawnionym lub niezgodnym z prawem przetwarzaniem oraz przed uszkodzeniem.
- Odpowiedzialność . Organizacje muszą być w stanie stosować niezbędne zasady i procedury w celu zapewnienia zgodności z RODO oraz wykazać, że skutecznie to uczyniły, gdy zostaną o to poproszone.
Definicje i terminologia RODO
Poniżej znajduje się krótki słownik zawierający kluczowe terminy i definicje RODO: Dane osobowe oznaczają wszelkie informacje dotyczące osoby fizycznej, to znaczy osoby, której dane dotyczą , którą można zidentyfikować bezpośrednio lub pośrednio, na przykład na podstawie imienia i nazwiska, numeru identyfikacyjnego, lokalizacji lub innych identyfikatorów związanych z tożsamością fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną.
Zgoda to każde „dobrowolne, konkretne, świadome i jednoznaczne” oświadczenie osoby, której dane dotyczą , że wyraża zgodę na przetwarzanie swoich danych osobowych w określonym celu.
Administrator danych to osoba fizyczna lub organizacja odpowiedzialna za przestrzeganie zasad RODO oraz określająca cele i sposoby przetwarzania danych osobowych. Jest to podmiot, z którym powinny skontaktować się osoby, których dane dotyczą , pragnące skorzystać ze swoich praw. Jednakże faktyczne przetwarzanie danych może zostać powierzone innej osobie lub organizacji, czyli podmiotowi przetwarzającemu dane .
Podmiot przetwarzający dane to osoba fizyczna lub organizacja, która przetwarza dane osobowe w imieniu administratora danych . Podmiot ten podlega instrukcjom administratora danych .
Osoba, której dane dotyczą to osoba fizyczna, która wyraża zgodę na przetwarzanie swoich danych osobowych przez administratora danych lub podmiot przetwarzający dane .
Przetwarzanie to każda operacja wykonywana na danych osobowych, taka jak gromadzenie, rejestrowanie, porządkowanie, przechowywanie, zmiana, ujawnianie, rozpowszechnianie, usuwanie i niszczenie, a także inne czynności objęte RODO.
Prawo dostępu to prawo osoby, której dane dotyczą do uzyskania od administratora danych informacji dotyczących jej danych osobowych, sposobu ich przetwarzania, celu przetwarzania itp., bezpłatnie w ciągu 1 miesiąca od otrzymania takiego wniosku.
Wymagania i wyzwania związane z zgodnością z RODO
RODO położyło podwaliny pod solidne standardy ochrony danych. Jednak dynamiczny charakter technologii wprowadza pewne komplikacje i coraz bardziej wystawia na próbę podstawowe zasady leżące u podstaw unijnego rozporządzenia o ochronie prywatności.
Kto musi przestrzegać przepisów RODO?
W UE. Każda organizacja przetwarzająca dane osobowe osób fizycznych w UE podlega przepisom RODO. Obejmuje to przedsiębiorstwa publiczne i prywatne, instytucje rządowe, organizacje charytatywne oraz inne organizacje non-profit.
Poza UE. RODO wykracza poza granice UE i dotyczy każdej organizacji, która dostarcza towary lub usługi obywatelom UE lub monitoruje ich zachowanie na terenie UE. Oznacza to, że firma z siedzibą w dowolnym miejscu na świecie musi przestrzegać przepisów RODO, jeśli przetwarza dane mieszkańców UE.
Globalne firmy internetowe i technologiczne , w tym platformy mediów społecznościowych, które mają użytkowników w UE, są zobowiązane do przestrzegania przepisów RODO.
Dostawcy technologii i wspólna odpowiedzialność
Wraz z upowszechnieniem się platform SaaS, IaaS, PaaS i innych dostarczających zasoby i usługi informatyczne przez Internet, w kontekście zgodności z RODO istotną rolę odgrywają dostawcy technologii i podwykonawcy zajmujący się danymi osobowymi. Jeśli organizacja korzysta z usług lub platform stron trzecich w celu przetwarzania lub przechowywania danych osobowych, dostawcy ci również muszą przestrzegać przepisów RODO.
Należy zauważyć, że większość tych usług opiera się na modelu wspólnej odpowiedzialności, zgodnie z którym:
- Organizacje są odpowiedzialne za swoje dane jako ich właściciele i, w zależności od rodzaju usługi, mogą być odpowiedzialne za aplikacje i/lub systemy operacyjne
- Dostawcy są odpowiedzialni za serwery, pamięć masową, sieci, fizyczne lokalizacje itp.
Zgodnie z RODO organizacje są odpowiedzialne za uzyskanie zgody oraz zapewnienie, że dane są wykorzystywane zgodnie z zamierzonym celem. Muszą również zapewnić, że dostawcy, którym powierzają przetwarzanie danych osobowych, robią to zgodnie z rozporządzeniem.
Niektóre wyzwania związane z przetwarzaniem danych w chmurze dotyczą:
- potencjalnych wycieków wrażliwych informacji
- kontrolowania przepływu danych między jurysdykcjami
- zapewnienia, że zewnętrzni dostawcy przestrzegają tych samych zobowiązań dotyczących prywatności, jakie zostały podjęte wobec osób, których dane dotyczą
- skutecznego wdrażania zasad przechowywania danych
- postępowania w przypadku naruszeń danych osobowych
- ogólnego zarządzania ryzykiem
RODO i sztucznej inteligencji
Ustawa UE o sztucznej inteligencji, pierwsza na świecie ustawa regulująca sztuczną inteligencję, ma wejść w życie w 2025 r., aby sprostać niektórym nowym wyzwaniom związanym z prawem do prywatności obywateli UE. Jednak już dziś ważne jest, aby zrozumieć niektóre wyzwania, przed którymi stoją organizacje wykorzystujące sztuczną inteligencję do przetwarzania danych osobowych:
- Minimalizacja danych i ograniczenie celu. Sztuczna inteligencja stanowi wyzwanie dla administratorów danych, którzy muszą ograniczyć gromadzenie danych do tego, co jest absolutnie niezbędne i służy konkretnemu celowi.
- Transgraniczne przekazywanie danych. Technologie oparte na sztucznej inteligencji i danych często działają ponad granicami państw. Może to wymagać wprowadzenia bardziej rygorystycznych mechanizmów kontroli, aby zapewnić zgodność z RODO.
- Zautomatyzowane podejmowanie decyzji i profilowanie. Sztuczna inteligencja stwarza ryzyko podejmowania decyzji bez udziału człowieka na podstawie przetwarzania danych osobowych, w tym profilowania. Wykorzystywanie danych osobowych w ten sposób podlega ścisłym ograniczeniom na mocy RODO.
Kluczowe wymagania dotyczące zgodności z RODO
Organizacje, które muszą przestrzegać RODO, powinny wziąć pod uwagę następujące ogólne wymagania:
- Środki ochrony danych . Organizacje muszą wdrożyć solidne rozwiązania i środki w zakresie ochrony danych, w tym szyfrowanie danych, bezpieczne magazynowanie danych oraz regularne audyty bezpieczeństwa. Obejmuje to również uwzględnianie skutków RODO przy wdrażaniu nowych technologii, takich jak sztuczna inteligencja, przetwarzanie w chmurze i analiza dużych zbiorów danych.
- Zarządzanie zgodami . Organizacje muszą ustanowić jasne zasady uzyskiwania wyraźnej, świadomej i dobrowolnej zgody przed przetwarzaniem danych osobowych. Obejmuje to również wdrożenie przejrzystych mechanizmów zarządzania cyklem życia danych osobowych.
- Rejestry przetwarzania danych . Prowadzenie szczegółowych rejestrów czynności przetwarzania danych jest obowiązkowe. Rejestry te powinny wykazywać, jakie dane są gromadzone, w jakim celu oraz w jaki sposób są przetwarzane i chronione.
- Inspektor ochrony danych . Niektóre rodzaje organizacji mogą być zobowiązane do powołania inspektora ochrony danych, który będzie nadzorować zgodność z RODO, zwłaszcza jeśli przetwarzają na dużą skalę dane wrażliwe.
Jak spełnić wymagania RODO
Spełnianie wymagań RODO nie jest jednorazowym działaniem, lecz ciągłym procesem oceny i monitorowania. Organizacje muszą wdrożyć kompleksowy zestaw środków obejmujący przetwarzanie danych osobowych, ochronę danych i ich odzyskiwanie, a także bezpieczeństwo:
- Poznaj dane i sporządź ich mapę . Przeprowadź szczegółowy audyt, aby ustalić, jakie dane osobowe są gromadzone, dlaczego są gromadzone, w jaki sposób są przetwarzane, gdzie są przechowywane i komu są udostępniane. Utwórz mapę przepływu danych, aby śledzić drogę danych osobowych w organizacji. Pomoże to zidentyfikować obszary ryzyka.
- Zapewnij zgodną z prawem podstawę przetwarzania . Ustal podstawę prawną przetwarzania danych osobowych, taką jak zgoda, umowa, obowiązek prawny, żywotne interesy, zadanie realizowane w interesie publicznym lub prawnie uzasadnione interesy. W przypadku oparcia się na zgodzie należy upewnić się, że jest ona „dobrowolna, konkretna, świadoma i jednoznaczna”. Mechanizmy uzyskiwania zgody powinny być łatwe do zrozumienia i obejmować możliwość łatwego wycofania zgody.
- Wdrożenie zasad ochrony danych . Należy opracować lub zaktualizować wewnętrzne zasady ochrony danych i procedury w celu zapewnienia zgodności z RODO. Należy wbudować ochronę danych „domyślnie i od samego początku” we wszystkie procesy biznesowe, systemy i usługi, które dotyczą danych osobowych.
- Ograniczenie przetwarzania danych do minimum. Należy zapewnić, aby przetwarzane były wyłącznie dane niezbędne do każdego konkretnego celu, a dostęp do danych osobowych był ograniczony do osób, które ich potrzebują.
- Przechowywanie danych. RODO wymaga od organizacji krytycznej oceny i zarządzania okresem przechowywania danych osobowych, zapewniając, że dane nie są przechowywane dłużej niż to konieczne. Wymaga to proaktywnego podejścia do zarządzania danymi, obejmującego jasne zasady, regularne przeglądy oraz skuteczne procesy usuwania lub anonimizacji danych, przy jednoczesnym zachowaniu równowagi między zgodnością z RODO a innymi prawnymi wymogami dotyczącymi przechowywania danych.
- Ułatwianie realizacji praw osób, których dane dotyczą . Należy ustanowić procedury umożliwiające realizację praw osób, których dane dotyczą, w tym wniosków o dostęp do danych, ich sprostowanie, usunięcie, przenoszenie oraz sprzeciw wobec przetwarzania.
- Opracowanie planu reagowania na naruszenia danych i środków zgłaszania . Należy stworzyć i wdrożyć solidny plan reagowania na incydenty, obejmujący plan reagowania na naruszenia danych. Należy być przygotowanym na powiadomienie właściwego organu nadzorczego w ciągu 72 godzin od stwierdzenia naruszenia danych, a w niektórych przypadkach również na powiadomienie osób, których dane dotyczą.
- Należy sprawdzić zgodność z przepisami w zakresie zarządzania dostawcami i podmiotami przetwarzającymi dane . Należy upewnić się, że wszyscy zewnętrzni dostawcy lub podmioty przetwarzające dane, które zajmują się danymi osobowymi w ramach organizacji, również przestrzegają przepisów RODO.
- Należy przeprowadzać ciągłą ocenę . Regularnie przeprowadzaj audyty działań związanych z przetwarzaniem danych oraz weryfikuj polityki, aby zapewnić stałą zgodność z RODO.
- Zwróć uwagę na międzynarodowe transfery danych . W przypadku przekazywania danych poza EOG upewnij się, że wdrożono odpowiednie środki ochrony, w tym standardowe klauzule umowne (SCC) lub przestrzeganie decyzji Komisji Europejskiej w sprawie adekwatności.
- Prowadź rejestry i dokumentację . Prowadź kompleksową dokumentację czynności przetwarzania danych, w tym celu przetwarzania, kategorii danych i odbiorców danych.
RODO i ochrona danych
W zakresie tworzenia kopii zapasowych i odzyskiwania awaryjnego organizacje muszą wdrożyć bezpieczne procesy tworzenia kopii zapasowych, aby chronić dane osobowe i zapewnić Zgodność z RODO. Obejmuje to wdrożenie ochrona danych oraz rozwiązań do odzyskiwania awaryjnego, które mają następujące funkcje:
- Szyfrowanie danych kopii zapasowych w repozytorium magazynującym (w spoczynku) oraz podczas przesyłania (w trakcie transmisji). Wybierz rozwiązania umożliwiające wdrożenie silnych standardów szyfrowania, dzięki którym dane kopii zapasowych pozostaną nieczytelne dla osób nieupoważnionych nawet w przypadku naruszenie bezpieczeństwa.
- Kontrola dostępu i uwierzytelnianie . Skonfiguruj kontrolę dostępu na podstawie ról (RBAC), aby ograniczyć dostęp do danych osobowych, oraz uwierzytelnianie wieloskładnikowe (MFA), aby zwiększyć bezpieczeństwo przed przyznaniem dostępu.
- Minimalizacja danych i ograniczenie ich przechowywania . Jedną z podstawowych zasad ogólnego rozporządzenia o ochronie danych jest ograniczenie przechowywania, które bezpośrednio wpływa na zasady przechowywania kopii zapasowych. Upewnij się, że rozwiązania do tworzenia kopii zapasowych zapewniają wystarczającą elastyczność, by tworzyć różne harmonogramy i zasady przechowywania dla różnych kategorii danych.
- Lokalizacja danych kopii zapasowych w magazynie-chmurze. Sprawdź, gdzie przechowywane są dane kopii zapasowych, i wybierz regiony na podstawie rodzaju przetwarzanych danych osobowych.
- Regularne kontrole integralności danych kopii zapasowych . Regularnie twórz kopie zapasowe, aby zapewnić integralność danych osobowych, i wdrażaj środki umożliwiające testowanie odzyskiwania danych.
- Zarządzanie dostawcami i podmiotami zewnętrznymi oraz zgodnością . Upewnij się, że magazyn zewnętrzny i inne platformy zintegrowane z rozwiązaniem do tworzenia kopii zapasowych oferują odpowiedni zakres funkcji, dzięki którym możesz kontrolować, jak i gdzie przechowywane są dane.
Ochrona danych za pomocą NAKIVO
NAKIVO Backup & Replication to rozwiązanie do ochrony danych, które zapewnia odpowiednie połączenie funkcji tworzenia kopii zapasowych, odzyskiwania awaryjnego i bezpieczeństwa, przeznaczonych dla organizacji przetwarzających dane osobowe. Możesz chronić aplikacje i systemy w środowiskach wirtualnych, fizycznych, chmurowych i SaaS oraz zachować zgodność z wymogami RODO, korzystając z takich funkcji jak szyfrowanie danych w spoczynku i podczas przesyłania, harmonogramowanie i automatyzacja tworzenia kopii zapasowych, elastyczne ustawienia przechowywania, weryfikacja kopii zapasowych itp.
